Что сброс iPhone удаляет из вашей настройки VPN

Сотрите телефон, и профиль VPN может просто не вернуться. Резервная копия iPhone несёт многое, но это не обещание, что закрытый ключ, управляемый профиль или состояние регистрации вернутся вместе с ней. Разрыв обычно обнаруживается через часы, когда пользователь в поездке и стёртый телефон был единственным работающим путём входа. Пять фактов, записанных заранее, предотвращают этот день.

Что несёт резервная копия и чего в ней никогда не было

Локальная копия или копия iCloud восстанавливает данные пользователя и многие настройки приложений, а также может восстановить учётные данные, которые приложение решит включить. Она не может заново создать закрытый ключ, созданный внутри secure enclave и помеченный как неэкспортируемый, и не регистрирует устройство в управлении заново. Профиль конфигурации, пришедший с сервера MDM, обычно доставляется снова этим сервером, а не копией. Все три случая выглядят одинаково на экране Настройки и ведут себя по-разному после стирания.

Это различие важно, потому что решает, кто может устранить проблему. Данные пользователя принадлежат человеку, профиль и его якоря доверия принадлежат тому, кто их выпустил, а закрытый ключ принадлежит сервису, который должен перевыпустить его. Если вы не можете назвать этих трёх владельцев до сброса, план восстановления неполон.

Один вопрос проверяет план: кто выпускает замену, когда ключ пропал? Если ответ никто, пока не стирайте телефон.

Запишите, из чего коллега смог бы восстановить

Запишите пять фактов, которые позволяют другому человеку восстановить подключение: владелец сервиса, поддерживаемый клиент и версия, имя конечной точки, протокол и порт, и как доставляется профиль. Добавьте приватный суффикс DNS и внутренние приложения, которые ломаются без туннеля, потому что именно их пользователь сообщает как сломанный VPN даже при работающем туннеле. Держите запись в тикете или вики команды, никогда на снимке экрана зелёного значка состояния.

Восстановление аутентификации — отдельная запись, и она относится к менеджеру паролей или процессу идентичности организации. Сбор ключей и паролей в незащищённую заметку из-за приближающегося сброса — это путь, которым восстановимое событие превращается в инцидент. Запись должна говорить, где живёт материал восстановления, а не воспроизводить его.

Назовите и человека, который может утвердить перевыпуск сертификата. Путь утверждения, занимающий два дня, всё же лучше, чем обнаружить это в тот же день.

Управляемые и личные профили возвращаются по-разному

Управляемое устройство снова получает настройки, когда регистрируется заново, поэтому регистрация идёт до восстановления данных пользователя. Личный профиль ближе к скачанному файлу: после стирания пользователю нужна новая загрузка от выпускающего сервиса и новое решение о доверии. Общая резервная копия восстанавливает настройки, а не закрытый ключ, созданный как неэкспортируемый, поэтому каждые учётные данные нужно проверять по их собственному пути перевыпуска, а не по результату восстановления.

Подтвердите метод MFA в том же проходе, потому что телефон, получающий push, часто и есть стираемый телефон. Если единственный зарегистрированный фактор живёт там, организуйте второй через команду идентичности и проверенный процесс до сброса. Срок действия сертификата тоже относится к этому разговору, поскольку короткоживущий сертификат может истечь, пока устройство лежит в ящике, а руководство Apple по профилям конфигурации охватывает запросы установки и удаления, которые встретятся на обратном пути. Если инструкции по настройке можно прочитать только из-за VPN, разорвите эту зависимость до стирания, а не после.

Проверьте восстановленное подключение на реальном ресурсе

После восстановления установите поддерживаемый клиент или профиль, войдите и откройте внутренний ресурс, требующий туннеля. Индикатор подключения доказывает, что туннель существует, а не что разрешение имён и маршрутизация доходят до сервиса, который нужен пользователю. Проверьте и цепочку доверия: если профиль предъявляет неизвестный корень, остановитесь и подтвердите издателя, вместо того чтобы нажать принять и быстро закончить. Неизвестный корень, принятый во время поспешного восстановления, — это решение о доверии, принятое случайно.

Затем проверьте части, которые тихо отказывают: приватный суффикс DNS, разрешающийся во внутренний адрес, дату сертификата и одно приложение, зависящее от туннеля. Попросите пользователя повторить вход без подсказок, потому что его попытка и есть проверка передачи.

Выведите старую идентичность устройства из обращения, когда телефон заменён или сброс последовал за потерей. Восстановление профиля не отзывает копию, которая может всё ещё существовать в другом месте.

Контрольный список перед сбросом, в одном месте

Владелец, клиент, конечная точка, протокол и способ доставки; суффикс DNS и зависимые приложения; путь восстановления MFA и кто его утверждает; путь перевыпуска сертификата и его срок; и способ регистрации для управляемого устройства. Если какая-либо строка пуста, сброс — это бросок монеты. Список занимает десять минут и решает, восстановление это или сбой.

Храните его там, где человек, выполняющий восстановление, сможет прочитать его без телефона, и дайте ему пересмотр срока, потому что конечные точки и владельцы меняются. Заметка о восстановлении, цитирующая выведенный из эксплуатации шлюз, хуже отсутствия заметки, потому что приглашает к уверенному неверному действию.